Политика обработки персональных данных

1. Назначение

Политика обработки персональных данных в АО «Нижфарм» (далее — Политика, Общество) разработана в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Закон 152-ФЗ).

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в Обществе с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Политика является основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных в Обществе.
Действие Политики распространяется на все структурные подразделения Общества.

2. Общие положения

• автоматизированная обработка ПДн — обработка ПДн с помощью средств вычислительной техники;
• биометрические персональные данные — физиологические данные человека, в том числе его изображение (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта;
• блокирование ПДн — временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
• информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных ПДн, и обеспечивающих их обработку информационных технологий и технических средств;
• неавтоматизированная обработка ПДн — обработка содержащихся в информационной системе ПДн либо извлеченных из такой системы, осуществляющаяся при непосредственном участии человека;
• обезличивание ПДн — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность ПДн конкретному субъекту ПДн;
• обработка ПДн — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• предоставление ПДн — действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
• распространение ПДн — действия, направленные на раскрытие ПДн неопределенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц;
• трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;
• уничтожение ПДн — действия, в результате которых невозможно восстановить содержание ПДн в ИСПДн и (или) результате которых уничтожаются материальные носители ПДн.
• GDPR — General Data Protection Regulation, Общий регламент по защите данных, постановление Европейского Союза, с помощью которого Европейский парламент, Совет Европейского Союза и Европейская комиссия унифицируют защиту персональных данных всех лиц в Европейском Союзе (ЕС).

Общество производит обработку ПДн при наличии хотя бы одного из следующих условий:

Общество обрабатывает ПДн следующих субъектов ПДн:

• работников;
• уволенных работников;
• соискателей;
• кандидатов на вакантную должность;
• контрагентов;
• близких родственников сотрудников;
• посетителей;
• подрядчиков;
• участников выставок и конференций;
• клиентов интернет-магазина;
• лекторов;
• врачей;
• фармацевтов;
• подписчиков;
• посетителей сайта.

Персональные данные обрабатываются в Обществе для достижения следующих задач:

• обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации и локальных нормативных актов Общества;
• осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Общество;
• регулирования трудовых отношений с работниками Общества;
• предоставления работникам дополнительных гарантий и компенсаций, услуг добровольного медицинского страхования, медицинского обслуживания и других видов социального обеспечения;
• обучения работников и повышения их квалификации;
• защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
• подготовки, заключения, исполнения и прекращения договоров с контрагентами;
• противодействия коррупции и хищениям;
• осуществления пропускного режима;
• обеспечения экономической безопасности деятельности Общества;
• формирования справочных материалов для внутреннего информационного обеспечения деятельности Общества;
• осуществления прав и законных интересов Общества в рамках деятельности, предусмотренной локальными нормативными актами Общества;
• осуществления производства готовых лекарственных средств и медицинских изделий;
• производства изделий парфюмерной промышленности;
• продвижения и информирования потребителей о товарах, реализуемых Обществом;
• для достижения иных законных целей и задач.

Перечень целей обработки персональных данных подробно излагается в локальных нормативных актах, изданных Обществом.

Общество обрабатывает персональные данные, относящиеся к следующим группам:

• идентификационные данные;
• данные о социальном и семейном положении;
• данные об образовании и профессии;
• данные о трудовой деятельности;
• данные, относящиеся к воинскому учету;
• данные, относящиеся к госслужбе;
• данные о страховании, налогообложении и пенсионном обеспечении;
• данные о транспортной мобильности;
• данные об экономической деятельности;
• данные договорных отношений;
• данные о мероприятиях;
• данные, относящиеся к информационным технологиям;
• данные геолокации;
• медицинские данные;
• биометрические данные.

Перечень персональных данных подробно излагается в локальных нормативных актах, изданных Обществом.

В аналитических целях и целях улучшения качества оказываемых услуг, на web-сайтах Общества могут располагаться файлы cookies.

Некоторые файлы cookies могут принадлежать третьим лицам или перенаправлять информацию в сторонние сервисы, такие как системы Яндекс. Метрика, Youtube, Google Analytics и vk.com для сбора информации о действиях пользователей на сайтах группы компаний Stada, в том числе с использованием трансграничной передачи персональных данных.

Типы используемых файлов cookies и длительность хранения:

• Функциональные файлы — 1 год;
• Файлы, отслеживающие посещение сайтов — 3 месяца;
• Файлы идентификации посетителей — 10 лет;
• Уникальные идентификаторы пользователя — в течение сессии;
• Файлы оценки пропускной способности — 5 месяцев 27 дней;
• Файлы, хранящие и отслеживающие конверсии — 3 месяца;
• Файлы идентификации пользователей — от 1 дня до 2 лет;
• Дата первого визита — 1 год;
• Идентификация визитов — в течение сессии;
• Файлы времени создания идентификаторов и их альтернативные значения — 1 год;
• Определители блокировщиков рекламы — 20 часов;
• Google Analytics ID — 1 минута;
• Анонимные статистические данные — 16 лет 4 месяца;
• Идентификаторы сеансов — 1 год;
• Идентификаторы отладочного режима — в течение сессии;
• Файлы партнерского маркетинга — 1 год.

Общество вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Общества, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Законом 152-ФЗ и настоящей Политикой.

При осуществлении сбора персональных данных Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона 152-ФЗ.

Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.

При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• оператор не вправе осуществлять обработку без согласия субъекта персональных данных по основаниям, предусмотренным Законом 152-ФЗ или иными федеральными законами;
• иное не предусмотрено иным соглашением между оператором и субъектом персональных данных.

Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего.

В целях информационного обеспечения в Обществе могут создаваться общедоступные источники ПДн субъектов ПДн, в том числе справочники и адресные книги. В общедоступные источники ПДн с письменного согласия субъекта ПДн могут включаться его фамилия, имя, отчество, дата рождения, фотография, должность, номера контактных телефонов, адрес электронной почты и иные персональные данные, сообщаемые субъектом ПДн.

Обработка биометрических персональных данных может осуществляться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 статьи 11 Закона 152-ФЗ.

Публикация фотографий на общедоступных ресурсах и другие случаи использования изображения лица, не связанные с установлением личности субъекта и с процедурой идентификации, не являются процедурой обработки биометрических персональных данных, обработка сведений в данных случаях осуществляется в соответствии с общими требованиями, установленными Законом 152-ФЗ.

Оператор вправе передать персональные данные для их обработки на территории иностранных государств, являющихся стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.

Трансграничная передача ПДн на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов ПДн, может осуществляться в случаях:

• наличия согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн;
• предусмотренных международными договорами Российской Федерации;
• предусмотренных федеральными законами;
• исполнения договора, стороной которого является субъект ПДн;
• защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц при невозможности получения согласия в письменной форме субъекта персональных данных.

В целях обеспечения защиты своих персональных данных субъект персональных данных имеет право в порядке, предусмотренном действующим законодательством:

• получать полную информацию о своих персональных данных и обработке этих данных;
• осуществлять доступ к своим персональным данным;
• требовать исключения или исправления неверных или неполных персональных данных, а также данных, обрабатываемых с нарушением федерального законодательства;
• обжаловать в суде любые неправомерные действия или бездействие Общества при обработке и защите персональных данных.

Безопасность ПДн, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований федерального законодательства в области защиты ПДн.

Для предотвращения несанкционированного доступа к персональным данным применяются следующие организационно-технические меры:

• назначение должностных лиц, ответственных за организацию обработки и защиты ПДн;
• организация учета носителей, содержащих информацию с персональными данными;
• определение угроз безопасности ПДн при их обработке в ИСПДн, формирование моделей угроз, разработка системы защиты ПДн;
• применение средств защиты информации;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных;
• обнаружение фактов несанкционированного доступа к персональным данным и принятием мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
• организация пропускного режима на объекты Общества, охраны помещений с техническими средствами обработки персональных данных.

Внутренний контроль за соблюдением требований законодательства Российской Федерации о персональных данных работников Общества, организацию защиты персональных данных и внутренний контроль за защитой персональных данных контрагентов Общества осуществляет Отдел безопасности Общества.

Иные права и обязанности оператора в связи с обработкой персональных данных определяются законодательством Российской Федерации в области персональных данных.

Общество обеспечивает защиту и конфиденциальность обрабатываемых персональных данных субъектов персональных данных, попадающих под действие GDPR, в части, не противоречащей правовым нормам законодательства Российской Федерации.

Общество имеет право вносить изменения в настоящую Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее опубликования, если иное не предусмотрено новой редакцией Политики.

Действующая редакция хранится в месте нахождения исполнительного органа Общества по адресу: ул. Салганская, д. 7, Бокс № 459, г. Нижний Новгород, 603950.

Наименование: АО «Нижфарм».
ИНН: 5260900010.
Реестр операторов персональных данных: № 52-16-001569, Приказ № 13 от 26.01.2016, https://rkn.gov.ru/personal-data/register/?id=52-16-001569
Почтовый адрес: ул. Салганская, д. 7, Бокс № 459, г. Нижний Новгород, 603950.
Адрес электронной почты: PersonalData@stada.ru
Контактный телефон: +7(831)278-80-88.